In Ivanti Sentry steckt mit CVE-2026-10520 eine Befehlseinschleusung, über die Angreifer ohne Anmeldung Root-Rechte erlangen. Der CVSS-Wert beträgt 10,0. Wenige Tage nach der Veröffentlichung der Patches meldete die Shadowserver Foundation Gateways mit Hintertür, die US-Behörde CISA nahm die Lücke in ihren Katalog ausgenutzter Schwachstellen auf. Der Beitrag nennt die gepatchten Versionen und die Schritte für Betreiber.
In Ivanti Sentry lässt sich ohne Anmeldung Code mit Root-Rechten ausführen. Angreifer nutzen die Lücke bereits, die US-Behörde CISA hat sie in ihren Katalog aufgenommen.
Das Wichtigste in Kürze
- Die Lücke CVE-2026-10520 erreicht den Höchstwert CVSS 10,0. Eine Befehlseinschleusung erlaubt Angreifern aus dem Netz ohne Anmeldung Root-Rechte auf dem Gerät.
- Die Angriffe laufen bereits. Die Shadowserver Foundation zählte in ihren Scans 19 verwundbare Instanzen, mindestens 2 davon mit Hintertür.
- Gepatcht sind R10.5.2, R10.6.2 und R10.7.1. Ältere Stände sind betroffen.
- Die CISA setzte Bundesbehörden eine Frist bis zum 14. Juni 2026.
Über die Angriffe berichteten Bleeping Computer und Security Affairs erstmals am 11. Juni 2026. Der Bericht zum CISA-Eintrag, die Hauptquelle, erschien am 12. Juni 2026 und blieb unverändert.
Was bei Ivanti Sentry bekannt ist
Ivanti Sentry hiess früher MobileIron Sentry. Das Gerät sitzt als Gateway zwischen mobilen Endgeräten und Firmensystemen. Wer es übernimmt, steht damit im vertrauten Netz und kann Daten abgreifen oder sich seitlich weiterbewegen.
Ivanti hatte zur Freigabe der Patches keine Hinweise auf Ausnutzung gemeldet. Am Tag danach sah die Shadowserver Foundation jedoch Angriffe. Wer noch nicht gepatcht habe, sei mit hoher Wahrscheinlichkeit kompromittiert, schrieb sie. Die Zahl 19 stammt aus den eigenen Scans der Stiftung. Die tatsächliche Zahl exponierter Geräte liegt laut Bleeping Computer vermutlich höher.
Später stellte Ivanti klar, dass ein Angriff Zugriff auf den Verwaltungsport 8443 braucht. Dieser Port gehört nicht ins Internet. Das Risiko hängt also von der Konfiguration ab, doch ein offener Verwaltungsport macht das Gerät angreifbar.
| Angabe | Wert | Bemerkung |
|---|---|---|
| Schwachstelle | CVE-2026-10520 | Befehlseinschleusung im Betriebssystem, Root-Ausführung ohne Anmeldung |
| Bewertung | CVSS 10,0 | Höchster möglicher Wert |
| Gepatchte Versionen | R10.5.2, R10.6.2, R10.7.1 | Ältere Stände jeder Linie sind betroffen |
| CISA-Frist | 14. Juni 2026 | Gilt für US-Bundesbehörden, als Richtwert für alle sinnvoll |
Was Admins jetzt tun
- Prüfe die Versionen deiner Sentry-Gateways und spiele den passenden Patch ein.
- Stelle sicher, dass der Verwaltungsport 8443 nicht aus dem Internet erreichbar ist.
- Suche auf exponierten Geräten nach Spuren einer Kompromittierung, bevor du sie weiter betreibst.
- Rechne damit, dass ein Gerät, das vor dem Patch offen im Netz stand, bereits übernommen wurde.
Die CISA führt laut Bleeping Computer über 34 Ivanti-Schwachstellen als ausgenutzt, 12 davon im Zusammenhang mit Ransomware. Einen ähnlichen Fall mit Höchstwert beschreibt der Beitrag zu Cisco Secure FMC.
Fazit
Die Updates stehen bereit, doch die Angriffe liefen schon am Tag danach. Wer ein Sentry-Gateway betreibt, aktualisiert sofort und sucht nach Spuren. Ein Patch allein entfernt eine bereits gesetzte Hintertür nicht.
Quellen: Security Affairs (CISA-Eintrag), Security Affairs (Angriffe), Bleeping Computer. Foto: rupixen / Pixabay. Stand: 12. Juni 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.